切换 ESP 前 7 天准备
把切换拆解为 5 个里程碑：拉通现状、发布新记录、灰度验证、证据留存与全量切换。每个节点都能复算与回滚。
运行检查
每个里程碑结束都跑一次体检，并生成证据 PDF（scanId/sha256）。
日程（D‑7…D+1）
- D‑7：拉通现网配置并体检
- D‑5：新 ESP 域验证与 DKIM 选择器发布
- D‑3：10% 灰度，观察对齐/退订
- D‑1：50% 灰度，生成 PDF 证据
- D0：全量切换；D+1 回归检查
落实要点
- SPF：受控扁平化；查询 ≤ 10；避免供应商链路环引用。
- DKIM：双选择器、2048 位；灰度期间双签名；零停机轮换。
- DMARC：
none→quarantine→reject分阶段；必要时sp=管控子域。 - 退订：One‑Click 头到位；端点 POST/HTTPS/幂等，不需要登录。
证据与回滚
- 每阶段生成无水印 PDF，贴到变更单；保留 Raw JSON（90 天）。
- 故障即回退到上一阶段；队列限流，避免“雪崩补发”。